🧨 “ChillyHell กลับมาหลอน macOS อีกครั้ง — มัลแวร์ผ่านการรับรองจาก Apple แอบใช้ Google.com บังหน้า” มัลแวร์ macOS ที่เคยเงียบหายไปอย่าง ChillyHell กลับมาอีกครั้งในปี 2025 พร้อมความสามารถที่ซับซ้อนและแนบเนียนกว่าเดิม โดยนักวิจัยจาก Jamf Threat Labs พบตัวอย่างใหม่ที่ถูกอัปโหลดขึ้น VirusTotal เมื่อเดือนพฤษภาคม ซึ่งน่าตกใจคือมันมีคะแนนตรวจจับเป็น “ศูนย์” และยังผ่านกระบวนการ notarization ของ Apple อย่างถูกต้อง ทำให้สามารถรันบน macOS ได้โดยไม่ถูกเตือนจาก Gatekeeper ChillyHell เป็นมัลแวร์แบบ backdoor ที่มีโครงสร้างแบบ modular เขียนด้วย C++ สำหรับเครื่อง Intel-based Mac โดยสามารถติดตั้งตัวเองแบบถาวรผ่าน 3 วิธี ได้แก่ LaunchAgent, LaunchDaemon และ shell profile injection เช่น .zshrc หรือ .bash_profile เพื่อให้เริ่มทำงานทุกครั้งที่เปิดเครื่องหรือเปิดเทอร์มินัลใหม่ เมื่อทำงานแล้ว มัลแวร์จะเชื่อมต่อกับเซิร์ฟเวอร์ควบคุมผ่าน DNS หรือ HTTP โดยใช้ IP ที่ถูก hardcoded ไว้ และสามารถรับคำสั่งจากผู้โจมตี เช่น เปิด reverse shell, ดาวน์โหลด payload ใหม่, อัปเดตตัวเอง หรือแม้แต่ใช้ brute-force เพื่อเจาะรหัสผ่านของผู้ใช้ โดยมีโมดูลเฉพาะสำหรับการโจมตี Kerberos authentication เพื่อหลบเลี่ยงการตรวจจับ ChillyHell ใช้เทคนิค timestomping เพื่อเปลี่ยนวันที่ของไฟล์ให้ดูเก่า และเปิดหน้า Google.com ในเบราว์เซอร์เพื่อเบี่ยงเบนความสนใจของผู้ใช้ ทำให้ดูเหมือนว่าไม่มีอะไรผิดปกติเกิดขึ้น แม้ Apple จะรีบเพิกถอนใบรับรองนักพัฒนาที่เกี่ยวข้องทันทีหลังได้รับรายงานจาก Jamf แต่เหตุการณ์นี้สะท้อนถึงช่องโหว่สำคัญในระบบความปลอดภัยของ macOS ที่ไม่สามารถป้องกันมัลแวร์ที่ได้รับการรับรองอย่างเป็นทางการได้ ✅ รายละเอียดของมัลแวร์ ChillyHell ➡️ เป็น backdoor แบบ modular เขียนด้วย C++ สำหรับ Intel-based Macs ➡️ ผ่านการ notarization ของ Apple ตั้งแต่ปี 2021 โดยไม่มีการตรวจพบ ➡️ ถูกอัปโหลดขึ้น VirusTotal ในปี 2025 โดยมีคะแนนตรวจจับเป็นศูนย์ ➡️ ถูกพบว่าเคยถูกโฮสต์บน Dropbox แบบสาธารณะตั้งแต่ปี 2021 ✅ วิธีการติดตั้งและการทำงาน ➡️ ติดตั้งตัวเองแบบถาวรผ่าน LaunchAgent, LaunchDaemon และ shell profile injection ➡️ เชื่อมต่อกับเซิร์ฟเวอร์ควบคุมผ่าน DNS และ HTTP ด้วย IP ที่ถูก hardcoded ➡️ ใช้โมดูลต่าง ๆ เช่น reverse shell, payload loader, updater และ brute-force password cracker ➡️ ใช้เทคนิค timestomping เพื่อเปลี่ยนวันที่ไฟล์ให้ดูเก่าและหลบเลี่ยงการตรวจสอบ ✅ กลยุทธ์ในการหลบซ่อน ➡️ เปิดหน้า Google.com ในเบราว์เซอร์เพื่อเบี่ยงเบนความสนใจของผู้ใช้ ➡️ ปรับพฤติกรรมการสื่อสารกับเซิร์ฟเวอร์เพื่อหลบเลี่ยงการตรวจจับ ➡️ ใช้ shell command เช่น touch -c -a -t เพื่อเปลี่ยน timestamp หากไม่มีสิทธิ์ระบบ ➡️ ทำงานแบบเงียบ ๆ โดยไม่มีการแจ้งเตือนหรือพฤติกรรมผิดปกติที่ชัดเจน ✅ ข้อมูลเสริมจากภายนอก ➡️ ChillyHell เคยถูกเชื่อมโยงกับกลุ่ม UNC4487 ที่โจมตีเว็บไซต์ในยูเครน ➡️ มัลแวร์นี้มีความสามารถคล้าย RAT (Remote Access Trojan) แต่ซับซ้อนกว่า ➡️ Modular backdoor ที่มี brute-force capability ถือว่าแปลกใหม่ใน macOS ➡️ Jamf และ Apple ร่วมมือกันเพิกถอนใบรับรองนักพัฒนาที่เกี่ยวข้องทันที https://hackread.com/chillyhell-macos-malware-resurfaces-google-com-decoy/